ネットワーク統合管理製品「Arista VCO」に深刻な脆弱性 - すでに悪用も

SD-WAN環境向けネットワーク統合管理製品「VeloCloud Orchestrator（VCO）」に深刻な脆弱性が判明した。すでに悪用されていることが確認されており、注意が必要だ。

Arista Networksは現地時間2026年10月22日、セキュリティアドバイザリを公開し、SQLインジェクションの脆弱性「CVE-2026-114625」について明らかにした。

脆弱性の悪用には、管理画面へのネットワークアクセスと「Enterprise Read Only」以上の認証済みセッションが必要とされるが、権限を昇格して内部向けの管理機能にアクセス、統合管理しているシステムやデータを侵害することが可能となる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.4」、「CVSSv3.1」では「9.9」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」相当とされる。同社はすでに脆弱性を悪用する攻撃を確認しているという。

同社は「同6.4.2.12」「同6.1.3.10」「同5.2.3.18」にて「CVE-2026-114625」を修正。利用者にアップデートを呼びかけている。

（Security NEXT - 2026/10/26 ）ツイート